Wie op zoek gaat naar een vaste lijst met documenten voor de AI-verordening, komt bedrogen uit: die ene lijst bestaat niet. Wat de verordening vraagt, hangt af van de rol die uw bedrijf heeft bij het AI-systeem dat u gebruikt of aanbiedt. Een bedrijf dat een kant-en-klare chatbot of een sollicitatiefilter inkoopt, houdt doorgaans andere stukken bij dan een bedrijf dat zo'n systeem zelf ontwikkelt of onder eigen naam op de markt brengt.
Dat onderscheid is precies het detail waar de meeste verwarring vandaan komt. De verordening spreekt over de aanbieder van een AI-systeem en over de gebruiksverantwoordelijke die het systeem inzet. Voor de meeste MKB-bedrijven in elektronica en ICT geldt het tweede: zij zetten AI in binnen hun eigen organisatie, maar hebben het systeem niet zelf gebouwd. De documentenlijst die daarbij hoort, is korter en gaat vooral over hoe u het systeem gebruikt, niet over hoe het is gebouwd.
Documenten die een aanbieder verzamelt
Een partij die als aanbieder geldt, bouwt doorgaans een dossier op rond het systeem zelf: een beschrijving van het doel en de werking, de risicoclassificatie die is toegepast, gegevens over de data waarop het systeem is getraind of getest, en een beschrijving van de maatregelen voor menselijk toezicht. Voor de meeste MKB-bedrijven die AI inkopen, is dit niet de lijst die op hen van toepassing is; die documenten stelt de leverancier op en zij horen bij het systeem, niet bij uw bedrijf. Toch is het nuttig te weten dat deze stukken bestaan, want een deel ervan hoort u als gebruiker juist te ontvangen.
Documenten die een gebruiksverantwoordelijke bewaart
Als uw bedrijf een AI-systeem inzet dat door een ander is gebouwd, draait uw dossier vooral om drie soorten stukken. Ten eerste de gebruiksaanwijzing en informatie die de leverancier verplicht meelevert: waarvoor het systeem is bedoeld, welke beperkingen het kent en welke risicocategorie erop van toepassing is. Ten tweede een vastlegging van hoe uw bedrijf het systeem daadwerkelijk gebruikt, inclusief wie er intern verantwoordelijk is voor het menselijk toezicht. Ten derde documentatie over de voorlichting die medewerkers hebben gekregen voordat zij met het systeem gingen werken, iets waar ook medezeggenschap een rol in kan spelen. Deze drie categorieën vormen samen het dossier dat een toezichthouder, mocht die er ooit naar vragen, als eerste zou willen zien.
Wat u aan uw softwareleverancier vraagt
Omdat een groot deel van uw dossier afhangt van wat de leverancier aanlevert, is het verstandig om daar gericht naar te vragen voordat u een systeem in gebruik neemt. Vraag naar de risicoclassificatie die de leverancier aan het systeem heeft toegekend, naar de gebruiksaanwijzing in begrijpelijke taal, en naar de contactgegevens voor het geval er iets misgaat met het systeem. Krijgt u deze stukken niet of blijven de antwoorden vaag, dan is dat op zichzelf al informatie: het zegt iets over hoe volwassen de leverancier met de verordening omgaat. Een uitgebreider overzicht van vragen die u aan een softwareleverancier kunt stellen, vindt u in de kennisbank met uitleg per onderwerp.
Waarom dit niet losstaat van het digitaal productpaspoort
Bedrijven die elektronica of ICT-apparatuur importeren of op de markt brengen, krijgen naast de AI-verordening ook te maken met het digitaal productpaspoort. Beide regelingen vragen om een dossier, maar het zijn geen verplichtingen die u kunt combineren tot één document: het paspoort gaat over de herkomst en samenstelling van een fysiek product, de AI-documentatie over de werking en het gebruik van een systeem. Wel is het verstandig om beide dossiers op dezelfde manier te structureren, zodat u niet twee keer hetzelfde uitzoekwerk doet. Hoe zo'n dossier voor het productpaspoort eruitziet, leest u in de kennisbank.
Hoe u dit voor uw bedrijf ordent
De kern blijft dat u eerst vaststelt welke rol uw bedrijf heeft bij elk AI-systeem dat in gebruik is, voordat u een documentenlijst gaat samenstellen. Dat voorkomt dat u tijd steekt in stukken die bij de leverancier horen, of juist stukken mist die wél bij u horen. Twijfelt u over de rol van uw bedrijf bij een specifiek systeem, dan is de bevoegde toezichthouder of een jurist de aangewezen partij om dat te beoordelen; deze tekst geeft een overzicht, geen oordeel over uw situatie.
Wilt u eerst een indruk krijgen van waar uw bedrijf staat, zonder meteen een dossier op te bouwen? Doe de gratis quick-scan via in een paar vragen zien waar u staat, of blader door de onderwerpen in het overzicht van alle onderwerpen per situatie.